คำประกาศเกี่ยวกับความเป็นส่วนตัว (Privacy Notice) สำหรับบุคคลภายนอกในการเข้าพื้นที่ศูนย์คอมพิวเตอร์ (Data Center)

2. แหล่งที่มาของข้อมูลส่วนบุคคลของท่าน

   สพร. จะเก็บรวบรวมข้อมูลส่วนบุคคลของท่านโดยตรงจากข้อมูลที่ท่านหรือผู้ประสานงานขององค์กรของท่านได้ให้ไว้กับ สพร. ก่อนการเข้าปฏิบัติงานในพื้นที่ศูนย์ข้อมูล

3. สิทธิตาม พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ของท่าน

   พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มีวัตถุประสงค์เพื่อให้ข้อมูลส่วนบุคคลของท่านอยู่ในความควบคุมของท่านได้มากขึ้น โดยท่านสามารถใช้สิทธิตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ซึ่งมีรายละเอียดดังต่อไปนี้

   3.1 สิทธิขอเข้าถึง รับสำเนาและเปิดเผยที่มาของข้อมูลส่วนบุคคลของท่านที่ สพร. เก็บรวบรวมอยู่ เว้นแต่กรณีที่ สพร. มีสิทธิปฏิเสธคำขอของท่านตามกฎหมายหรือคำสั่งศาล หรือกรณีที่คำขอของท่านจะมีผลกระทบที่อาจก่อให้เกิดความเสียหายต่อสิทธิและเสรีภาพของบุคคลอื่น

   3.2 สิทธิขอข้อมูลส่วนบุคคลที่เกี่ยวกับท่าน ในการนี้ สพร. จะดำเนินการให้ข้อมูลดังกล่าวในรูปแบบไฟล์อิเล็กทรอนิกส์ที่สามารถนำไปใช้กับระบบอื่นได้โดยง่าย นอกจากนี้ ท่านสามารถขอให้ สพร. ส่งไฟล์ดังกล่าวไปยังผู้ควบคุมข้อมูลส่วนบุคคลอื่นได้โดยตรง หากระบบของ สพร. สามารถดำเนินการได้ในทางเทคนิค

   3.3 สิทธิในการคัดค้านการประมวลผลข้อมูลส่วนบุคคลของท่าน เว้นแต่กรณีที่ สพร. มีเหตุใน
การปฏิเสธคำขอของท่านโดยชอบด้วยกฎหมาย เช่น การประมวลผลข้อมูลส่วนบุคคลของท่านมีเหตุอันชอบด้วยกฎหมายที่สำคัญยิ่งกว่า หรือเพื่อการก่อตั้งสิทธิเรียกร้องตามกฎหมาย การปฏิบัติตามหรือการใช้สิทธิเรียกร้องทางกฎหมาย หรือเพื่อประโยชน์สาธารณะของ สพร. เป็นต้น

   3.4 สิทธิขอให้ลบ ทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวท่านได้
ด้วยเหตุผลอย่างใดอย่างหนึ่ง ดังต่อไปนี้

• ข้อมูลส่วนบุคคลของท่านหมดความจำเป็นในการเก็บรักษา เนื่องจากไม่มีความจำเป็นใน
  การประมวลผลข้อมูลส่วนบุคคลตามวัตถุประสงค์ในข้อ 1
• เมื่อท่านถอนความยินยอมในการประมวลผลข้อมูลส่วนบุคคล เฉพาะข้อมูลส่วนบุคคลที่ท่านได้ให้ความยินยอมไว้ และ สพร. ไม่มีอำนาจตามกฎหมายในการประมวลผลข้อมูลส่วนบุคคลนั้นต่อไป
• เมื่อท่านได้คัดค้านการประมวลผลข้อมูลส่วนบุคคลตามข้อ 3.3 และ สพร. ไม่มีเหตุผลตามที่กฎหมายกำหนดในการปฏิเสธคำขอของท่านได้
• เมื่อท่านเห็นว่าข้อมูลส่วนบุคคลของท่านถูกเก็บรวบรวม ใช้ หรือเปิดเผยโดยไม่ชอบด้วยกฎหมาย

   เว้นแต่ สพร. ได้ดำเนินการการเก็บรักษาข้อมูลส่วนบุคคลของท่านภายใต้วัตถุประสงค์เพื่อ
การจำเป็นเพื่อการปฏิบัติหน้าที่ในการดำเนินภารกิจเพื่อประโยชน์สาธารณะของ สพร. หรือปฏิบัติหน้าที่ในการใช้อำนาจรัฐที่ สพร. ได้รับมอบหมาย การใช้เพื่อการก่อตั้งสิทธิเรียกร้องตามกฎหมาย การปฏิบัติตามหรือการใช้สิทธิเรียกร้องตามกฎหมาย หรือการยกขึ้นต่อสู้สิทธิเรียกร้องตามกฎหมาย หรือเพื่อการปฏิบัติตามกฎหมาย

   3.5 สิทธิในการขอให้ระงับการใช้ข้อมูลส่วนบุคคลของท่านในกรณีหนึ่งกรณีใดดังต่อไปนี้

       3.5.1 เมื่อ สพร. อยู่ระหว่างการตรวจสอบตามคำร้องขอของท่านให้แก้ไขข้อมูลส่วนบุคคลของท่านให้ถูกต้อง สมบูรณ์ เป็นปัจจุบัน และไม่ก่อให้เกิดความเข้าใจผิด

       3.5.2 เมื่อข้อมูลส่วนบุคคลของท่านต้องลบหรือทำลายเนื่องจากมีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของท่านโดยไม่ชอบด้วยกฎหมาย แต่ท่านขอให้ระงับการใช้แทน

        3.5.3 เมื่อข้อมูลส่วนบุคคลของท่านหมดความจำเป็นในการเก็บรักษาไว้ตามวัตถุประสงค์ที่ สพร. ได้แจ้งไว้ในข้อ 1 แต่ท่านประสงค์ให้ สพร. เก็บรักษาข้อมูลนั้นต่อไปเพื่อใช้ในการก่อตั้งสิทธิเรียกร้องตามกฎหมาย การปฏิบัติตามหรือการใช้สิทธิเรียกร้องตามกฎหมาย หรือการยกขึ้นต่อสู้สิทธิเรียกร้องตามกฎหมาย

       3.5.4 เมื่อท่านได้ใช้สิทธิขอคัดค้านการประมวลผลข้อมูลส่วนบุคคล และอยู่ระหว่างที่ สพร. ดำเนินการพิจารณาว่า สพร. มีเหตุในการปฏิเสธคำขอของท่าน หรือเหตุอันชอบด้วยกฎหมายในประมวลผลข้อมูลส่วนบุคคลของท่านต่อหรือไม่

   3.6 สิทธิขอแก้ไขข้อมูลส่วนบุคคลของท่าน เพื่อให้มีความถูกต้อง เป็นปัจจุบัน สมบูรณ์ และไม่ก่อให้เกิดความเข้าใจผิด

   3.7 สิทธิในการถอนความยินยอมการประมวลผลข้อมูลส่วนบุคคลที่ท่านได้ให้ความยินยอมไว้

   3.8 สิทธิในการร้องเรียนต่อคณะกรรมการผู้เชี่ยวชาญ ซึ่งได้รับแต่งตั้งโดยคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เมื่อท่านเห็นว่า สพร. รวมทั้งเจ้าหน้าที่ ลูกจ้างหรือผู้รับจ้างของ สพร. ฝ่าฝืนหรือไม่ปฏิบัติตามพระราชบัญญัตินี้ หรือประกาศที่ออกตามพระราชบัญญัติดังกล่าว

4. การเปิดเผยข้อมูลส่วนบุคคลของท่าน

   สพร. จะไม่เผยแพร่ หรือเปิดเผยข้อมูลส่วนบุคคลใด ๆ ของท่านที่ สพร. ได้เก็บรวบรวมไว้ให้แก่บุคคลภายนอก เว้นแต่เป็นการดำเนินการตามที่กำหนดในประกาศนี้ หรือเมื่อได้รับการร้องขอหรือได้รับ
ความยินยอมจากท่าน หรือภายใต้บางสถานการณ์ ดังนี้

• กรณีที่ สพร. เชื่อโดยสุจริตว่าเป็นข้อกำหนดทางกฎหมาย หรือเป็นการปฏิบัติตามคำสั่งของเจ้าหน้าที่ที่มีอำนาจโดยชอบด้วยกฎหมาย หรือเป็นการดำเนินการตามหมายศาล คำสั่งศาล หรือกระบวนการยุติธรรม
• กรณีที่ สพร. เชื่อโดยสุจริตและมีเหตุผลที่ดีที่จำเป็นต้องเปิดเผยข้อมูลส่วนบุคคลของท่าน
  ซึ่งเป็นสถานการณ์ที่ สพร. จำเป็นต้องดำเนินการ ได้แก่
  • เพื่อการสืบสวน สอบสวน และระงับเหตุอาชญากรรม การทุจริต การฉ้อโกง หรือ
  • เพื่อป้องกันหรือรับมือกับภัยคุกคามตลอดจนการกระทำที่อาจสร้างความเสียหายต่อสิทธิ ทรัพย์สิน หรือความปลอดภัยของสาธารณะ รวมถึงของสำนักงานและผู้ที่เกี่ยวข้อง หรือ
  • เพื่อป้องกันหรือรับมือการกระทำที่ละเมิดต่อข้อตกลงการใช้บริการของสำนักงาน หรือต่อกฎหมาย

   ในการเปิดเผยข้อมูลส่วนบุคคลของท่านตามกรณีดังกล่าวข้างต้น สพร. จะเปิดเผยเท่าที่จำเป็น และใช้มาตรการรักษาความปลอดภัยของข้อมูลส่วนบุคคลที่สอดคล้องกับกฎหมายที่เกี่ยวข้อง รวมทั้งมาตรฐานสากลที่ สพร. ประกาศใช้ในองค์กร

5. การส่งหรือโอนข้อมูลส่วนบุคคลของท่านไปยังต่างประเทศ

   ในบางกรณี สพร. อาจมีความจำเป็นต้องส่งหรือโอนข้อมูลส่วนบุคคลของท่านไปยังต่างประเทศ โดย สพร. จะใช้ความพยายามอย่างดีที่สุดในการส่งหรือโอนข้อมูลส่วนบุคคลของท่านไปยังหน่วยงานหรือประเทศที่มีมาตรฐานความปลอดภัยในการรักษาข้อมูลส่วนบุคคลเพียงพอ ทั้งนี้ โดยดำเนินการตามหลักเกณฑ์การให้ความคุ้มครองข้อมูลส่วนบุคคลที่ส่งหรือโอนไปยังต่างประเทศที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด เว้นแต่กรณีดังต่อไปนี้

   5.1 เป็นการปฏิบัติตามกฎหมายที่กำหนดให้ สพร. ต้องส่งหรือโอนข้อมูลส่วนบุคคลไปต่างประเทศ

   5.2 ได้แจ้งให้ท่านทราบและได้รับความยินยอมจากท่านในกรณีที่ประเทศปลายทางมีมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่ไม่เพียงพอ ทั้งนี้ ตามประกาศรายชื่อประเทศที่คณะกรรมการคุ้มครองส่วนบุคคลประกาศกำหนด

   5.3 เป็นการจำเป็นเพื่อการปฏิบัติตามสัญญาซึ่งท่านเป็นคู่สัญญาหรือเพื่อใช้ในการดำเนินการตามคำขอของท่านก่อนเข้าทำสัญญานั้น

   5.4 เป็นการกระทำตามสัญญาระหว่าง สพร. กับบุคคลหรือนิติบุคคลอื่นเพื่อประโยชน์ของท่าน

   5.5 เพื่อป้องกันหรือระงับอันตรายต่อชีวิต ร่างกาย หรือสุขภาพของท่านหรือของบุคคลอื่น เมื่อท่านไม่สามารถให้ความยินยอมในขณะนั้นได้

   5.6 เป็นการจำเป็นเพื่อการดำเนินภารกิจเพื่อประโยชน์สาธารณะที่สำคัญ

6. ระยะเวลาในการเก็บรักษาข้อมูลส่วนบุคคล

   สพร. จะจัดเก็บข้อมูลส่วนบุคคลของท่านตามวัตถุประสงค์และฐานทางกฎหมายในข้อ 1.1 – 1.3 และข้อ 1.5 ไว้เป็นระยะเวลา 10 ปี นับจากวันที่ท่านเข้าพื้นที่ศูนย์ข้อมูล (Data Center) หรือเข้าปฏิบัติงานครั้งล่าสุด เพื่อประโยชน์ในการตรวจสอบด้านความปลอดภัย เว้นแต่มีเหตุจำเป็นทางกฎหมายที่ต้องเก็บรักษาข้อมูลไว้นานกว่านั้น

   ส่วนภาพนิ่งและภาพเคลื่อนไหวที่บันทึกจากกล้องวงจรปิดซึ่งจัดเก็บตามวัตถุประสงค์และฐานทางกฎหมายในข้อ 1.4 นั้น จะจัดเก็บเป็นระยะเวลา 90 วัน ในกรณีที่ท่านแจ้งต่อ สพร. ขอใช้สิทธิลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคลไม่สามารถระบุตัวเจ้าของข้อมูลส่วนบุคคลได้ สพร. จะดำเนินการลบข้อมูลส่วนบุคคลของท่านภายในระยะเวลา 30 วันนับจากวันที่ท่านได้แจ้งความจำนงต่อ สพร.

   หมายเหตุ: สพร. อาจจำเป็นต้องจัดเก็บข้อมูลส่วนบุคคลของท่านเกินระยะเวลาที่กำหนดข้างต้น หากมีเหตุที่ สพร. ได้รับแจ้งหรือเชื่อโดยสุจริตได้ว่าอาจมีการกระทำที่ฝ่าฝืนกฎหมาย หรือเกิดข้อพิพาท และจำเป็นต้องมีการสืบสวน สอบสวน ตลอดจนรวบรวมหลักฐานเพื่อดำเนินคดีตามกฎหมาย โดย สพร. จะจัดเก็บข้อมูลส่วนบุคคลของท่านตามระยะเวลาเท่าที่จำเป็นจนกว่ากระบวนการจะเสร็จสิ้น หรือตามระยะเวลาที่กฎหมายที่เกี่ยวข้องในเรื่องนั้นกำหนด

7. การรักษาความมั่นคงปลอดภัย

   สพร. ตระหนักถึงความไว้วางใจของท่านที่ได้ให้ข้อมูลที่สำคัญกับ สพร. โดยกฎหมายคุ้มครองข้อมูลส่วนบุคคลกำหนดให้ สพร. ในฐานะผู้ควบคุมข้อมูลส่วนบุคคลต้องมีมาตรการ และการจัดการด้านความมั่นคงปลอดภัย เพื่อให้มั่นใจว่า ข้อมูลเหล่านั้นจะได้รับการปกป้องดูแล และพร้อมให้เจ้าของข้อมูลเข้าถึงและตรวจสอบ

   โดย สพร. ได้มีการออกนโยบายความมั่นคงปลอดภัยสารสนเทศทางไซเบอร์ (Information and Cyber Security Policy) มาใช้ภายในองค์กร ซึ่งตัวอย่างมาตรการและการจัดการด้านความมั่นคงปลอดภัย ในการปกป้องดูแลข้อมูลส่วนบุคคลที่ สพร. มีการนำมาใช้ เช่น

• กำหนดมาตรการป้องกันทางกายภาพและการจำกัดการเข้าถึงข้อมูลส่วนบุคคลไว้เฉพาะเจ้าหน้าที่ของ สพร. ที่มีความจำเป็นต้องเข้าถึงข้อมูลนั้นๆ (Need to Know Basis)
• กำหนดมาตรการป้องกันการเข้าถึงระบบและข้อมูล เช่นการใช้รหัสผ่านเพื่อเข้าสู่ระบบ
  การให้บริการ เป็นต้นเพื่อป้องกันมิให้ผู้ที่ไม่มีสิทธิเข้าถึงข้อมูลส่วนบุคคลของท่าน
• มีการเข้ารหัสข้อมูล (Encryption) ที่มีชั้นความลับเพื่อให้ข้อมูลไม่สามารถถูกเปิดอ่านได้จากผู้ที่ไม่มีสิทธิ
• กำหนดกระบวนการทำงานในการคุ้มครองข้อมูลส่วนบุคคล และการรับมือกับปัญหาหรือเหตุอันน่าสงสัยว่าจะมีการละเมิดข้อมูลส่วนบุคคล โดยหากเกิดเหตุดังกล่าว สพร. จะรีบแจ้งท่านทราบโดยเร็ว รวมถึงแจ้งเจ้าหน้าที่รัฐที่ดูแลเรื่องนี้ในกรณีที่กฎหมายกำหนดให้ต้องแจ้ง
• มีการอบรมเจ้าหน้าที่ของ สพร. เพื่อสร้างความตระหนักและความเข้าใจในขั้นตอน
  การปฏิบัติงานในการดูแลคุ้มครองข้อมูลส่วนบุคคล และการรับมือกับปัญหาหรือเหตุอันน่าสงสัยว่าจะมีการละเมิดข้อมูลส่วนบุคคล
• ตรวจสอบและทดสอบระบบที่มีการจัดเก็บหรือประมวลผลข้อมูลส่วนบุคคล เพื่อให้มั่นใจว่าระบบหรือเทคโนโลยีที่ใช้มีความมั่นคงปลอดภัย และมีการปรับปรุงและติดตั้งซอฟต์แวร์ การจัดการด้านการรักษาความมั่นคงปลอดภัยเวอร์ชันปัจจุบันอย่างสม่ำเสมอ

อย่างไรก็ตาม โปรดตระหนักว่าการส่งข้อมูลผ่านเครือข่ายสาธารณะ หรือการใช้เครื่องคอมพิวเตอร์สาธารณะหรือแม้แต่การใช้เครื่องคอมพิวเตอร์หรืออุปกรณ์สื่อสารส่วนตัวของท่านซึ่งติดมัลแวร์มีความเสี่ยงและ สพร. ไม่สามารถรับประกันความปลอดภัยในข้อมูลของท่าน ซึ่งอาจถูกลักลอบเข้าถึงหรือถูกเปิดเผย หรือถูกโอนถ่ายออกไป และทำให้ท่านเกิดความเสียหายได้

8. การเปลี่ยนแปลงแก้ไขประกาศความเป็นส่วนตัว

   ในการปรับปรุงหรือเปลี่ยนแปลงประกาศความเป็นส่วนตัวนี้ สพร. อาจพิจารณาแก้ไขเปลี่ยนแปลงตามที่ สพร. เห็นสมควร และ สพร. จะทำการแจ้งให้ท่านทราบผ่านช่องทางที่เหมาะสม โดยมีวันที่ของเวอร์ชันล่าสุดกำกับอยู่ตอนท้าย

9. ช่องทางการใช้สิทธิของเจ้าของข้อมูลและการติดตามสอบถามรายละเอียดเพิ่มเติม

   สพร. เปิดโอกาสให้เจ้าของข้อมูลส่วนบุคคลมีส่วนร่วมในการควบคุมและจัดการข้อมูลของตน โดยสามารถยื่นคำร้องขอใช้สิทธิตามข้อ 3 หรือติดต่อสอบถามข้อมูลเพิ่มเติมผ่าน DGA Contact Center โดยมีรายละเอียด ดังนี้

   สำนักงานพัฒนารัฐบาลดิจิทัล (องค์การมหาชน)

   ที่อยู่ อาคารสถาบันเพื่อการยุติธรรมแห่งประเทศไทย (TIJ) ชั้น 4 เลขที่ 999 ถนนแจ้งวัฒนะ แขวงทุ่งสองห้อง เขตหลักสี่ กรุงเทพฯ 10210

   หมายเลขโทรศัพท์ 02-612-6060

   จดหมายอิเล็กทรอนิกส์ [email protected]

   เว็บไซต์ https://www.dga.or.th/contact-dga/

   โดย สพร. จะพยายามอย่างเต็มที่ในการแก้ไขข้อกังวลและปัญหาต่าง ๆ

   หมายเหตุ: คำร้องสามารถยื่นโดยเจ้าของข้อมูลเอง หรือโดยบุคคลที่มีอำนาจแทนตามกฎหมาย เช่น โดยต้องแนบหลักฐานแสดงตนหรือหนังสือมอบอำนาจตามที่ สพร. กำหนด

   อย่างไรก็ดี สพร. อาจมีเหตุผลอันชอบด้วยกฎหมายในการปฏิเสธคำร้องขอใช้สิทธิดังกล่าวในบางกรณีตามรายละเอียดในข้อ 3.